Il nuovo Regolamento UE Privacy GDPR (General Data Protection Regulation) si applica ad ogni soggetto giuridico tranne le persone fisiche che trattino dati per scopi esclusivamente personali ed alcune autorità pubbliche specificamente indicate. 

Il nuovo GDPR, in vigore dal 25 maggio 2018, introduce importanti novità per tutti tra le quali:

1. il principio di accountability ovvero la responsabilizzazione del titolare e dei responsabili del trattamento (culpa in vigilando);
2. connessa ad essa la formazione continua, che non dovrà più essere fornita semplicemente “a cascata. Il titolare è obbligato a dimostrare non solamente di aver fornito adeguata formazione, ma dovrà anche dimostrare che i principi fondamentali della materia siano stati compresi;
3. la valutazione di impatto preventiva, ossia la necessità di valutare previamente e se del caso ottenere la prescritta autorizzazione dall’Autorità laddove si trattino un determinato tipo di dati. Si tratta di una valutazione che occorre poter dimostrare di aver effettuato comunque prima di effettuare i trattamenti;
4. la pesante integrazione delle informative rispetto alla previgente legislazione;
5. la necessità di pretendere dai propri fornitori che ogni software utilizzato sia certificato come totalmente conforme alla nuova normativa (culpa in eligendo)
6. il diritto all’oblio
7. il diritto alla portabilità dei dati
8. vari diritti dell’interessato di opporsi in tutto o in parte ai trattamenti (infatti tali diritti sono stati moltiplicati per cui il controllo dovrà essere effettuato con riferimento ai nuovi concetti
9. le nuove modalità di accesso ai propri dati per gli interessati
10. l’elenco dei trattamenti (non esistente come obbligo nella precedente legislazione)
11. le notificazioni delle violazioni alle autorità nazionali e anche agli stessi utenti (c.d. data breaches)
12. il concetto di “privacy by design” che dovrà essere ben chiaro all’imprenditore.
13. il concetto di “privacy by default” che dovrà essere ben chiaro all’imprenditore.
14. La necessità di trattare i dati c.d. “sensibili” ed in particolar modo quelli concernenti la salute in maniera totalmente sicura, utilizzando tecniche di cifrature dei dati e/o dei databases.
15. possibilità dalla data suddetta di attribuire le funzioni di D.P.O. (Data Protection Officer) ad un soggetto esterno che quindi prosegua e sollevi la società da tutti gli oneri concernenti la materia, fino alla fine dell’anno e con rinnovo dell’incarico annualmente. Da notare che tale soggetto è OBBLIGATORIO per qualunque ente pubblico e per i soggetti privati che rientrino nelle previsioni normative. (art.37, comma 1, lettere B e C);

Si tratta di una grave mancanza, che non ha scusante alcuna!